PPTP-Fehler 800 géint 812 an Ofbréch no enger Minutt

Dräi Fehlermeldungen vun engem PPTP-Client beschreiwen normalerweis dräi verschidde Stéierungen. Fehler 800 bedeit, datt den Tunnel ni entstanen ass, Fehler 812 bedeit, datt de Server d'Authentifikatiounsmethod ofgelehnt huet, an en Ofbroch no enger Minutt ass en Keepalive-Timer, dee entscheet, datt en gesonde Peer fort ass. All Etappe versot aus sengem eegene Grond, also brauch all eenzel seng eege Kontroll.

Fehler 800 bedeit, datt den Tunnel ni entstanen ass

Windows mellt Fehler 800, wann et den Tunnel iwwerhaapt net bauen kann, an den Text iwwer en net erreechbare Server oder ongëeegent Sécherheetsparameter ass eng Zesummefaassung an net eng Diagnos. PPTP brauch zwou getrennte Saachen aus dem Netzwierk, ier en iergendeen Zertifikat iwwerpréift gëtt. TCP 1723 dréit de Steierkanal, an IP-Protokoll 47, GRE, dréit déi encapiselt Laascht.

Test dësen äussere Wee vun ausserhalb vun dengem eegenen LAN, well eng Verbindung, déi am Büro funktionnéiert, beweist näischt iwwer de Rand:

$ nc -vz vpn.example.net 1723
Connection to vpn.example.net 1723 port [tcp/*] succeeded!
$ sudo tcpdump -ni eth0 proto gre
tcpdump: listening on eth0, link-type EN10MB

Wann 1723 äntwert an d'Opzeechnung eidel bleift, während de Client probéiert sech ze verbannen, léisst de Wee Protokoll 47 fale. E Router mat 1723 weidergereecht awer ausgeschaltenem PPTP-Passthrough produzéiert genee dee Muster: den TCP-Handshake gëtt fäerdeg, duerno verschwannen d'GRE-Paketen, sou datt de Feeler wéi e Problem mat den Zertifikater ausgesäit, obwuel kee Login probéiert gouf.

Riicht d'Weiderleedung op déi aktuell LAN-Adress vum Server, aktivéiert PPTP-Passthrough wou de Router et ubitt, a probéiert nach eng Kéier vum selwechte baussenzege Punkt. Wann GRE uewen drun gefiltert gëtt an du dat net ännere kanns, huet SSTP iwwer TCP 443 oder L2TP/IPsec iwwer UDP 500 an 4500 eng besser Chance wéi all Ännerung, déi s du op der Windows-Säit maache kanns.

Fehler 812 ass de Server, deen deng Authentifikatiounsmethod oflehnt

Fehler 812 kënnt zréck nodeems den Tunnel uewen ass, dofir fillt et sech wéi e Passwuertproblem un. De Server lehnt d'Authentifikatiounsmethod of, déi fir d'Verbindung verhandelt gouf, net onbedéngt d'Passwuert selwer. Op dem Client, maach den VPN-Agang op, gitt op den Tab Sécherheet, setz den Typ op Point-to-Point Tunneling Protocol, wiel d'explizitt Protokollslëscht a setz en Haken bei Microsoft CHAP Versioun 2.

Du kanns déi aktuell Astellung liesen ouni duerch den Dialog ze klicken:

$ Get-VpnConnection -Name "Office" | Select-Object -ExpandProperty AuthenticationMethod
MsChapv2

E Server, deen MS-CHAP v2 verlaangt, lehnt e Client of, deen op PAP oder op engem automateschen Typ gelooss gouf, deen eppes méi Schwaaches verhandelt, an de Feeler kënnt, ier en iergendeen Benotzerpasswuert bewäert gëtt. D'Kontoformat ass déi aner Halschent vun der selwechter Oflehnung. An engem Fall huet Windows eng Microsoft-Kontoidentitéit vun der Form MicrosoftAccount\[email protected] geschéckt, während de Server e lokalen oder Domainkonto wollt. SERVERNAME\username ze tippen huet Windows gesot, wéi en Kontospeicher ze konsultéieren ass, an de Feeler ewechgeholl. Gitt den Numm vun Hand an, amplaz datt eng gespäichert Zertifikat e fréieren Format widderhëlt.

Ofbréch no enger Minutt sinn eng Keepalive-Entscheedung

Wann den Tunnel sech verbënnt, e bëssen Trafic duerchléisst an dann trennt, kuckt d'LCP-Echo-Verhalen vum Server un, ier dir de Client beréiert. Den Daemon freet de Peer reegelméisseg ze bestätegen, datt en nach do ass. Wann ze wéineg Äntwerten an dem konfiguréierte Budget ukommen, gëtt d'Sessioun ofgebaut, obwuel de Benotzer nach eng funktionéierend Verbindung huet.

Op engem Linux pptpd-Server liewen déi Wäerter an /etc/ppp/options.pptpd, an déi üblech Reparatur ass de Budget ze erweideren amplaz den Intervall ze verkierzen:

# /etc/ppp/options.pptpd
lcp-echo-failure 30
lcp-echo-interval 5
# then
sudo systemctl restart pptpd

Drësseg Fehlschléi bei engem Intervall vu fënnef Sekonnen verzeien eng kuerz Stockung amplaz de Peer als fort ze erklären. D'Zuel op een oder zwee erofzesetzen mécht gewéinleche Jitter op engem iwwersetzte Wee ongeféier all Minutt zu engem Ofbroch. Wann däi Server Windows RRAS ass an net pptpd, kuck amplaz den Timeout vun der PPP-Sessioun an d'Politik fir d'Trennen bei Idle. Déi liewen an enger anerer Plaz, an eng pppd-Datei z'änneren, déi net existéiert, wäert näischt änneren.

Iwwerlappend Subnetzer briechen den Datewee

En PPTP-Tunnel kann propper authentifizéieren an trotzdem näischt erreechen, wann béid Plazen dee selwechte private Beräich benotzen, zum Beispill 192.168.1.0/24 am Büro an doheem. De Client kann net soen, op wéi en Host eng bestëmmt Adress sech bezitt, a verschidde Stiegele verweigeren d'Route iwwerhaapt anzebauen, amplaz eng auszewielen.

Behandelt dat als Designfeeler a nummeréiert eng Säit nei, oder gitt dem Client e bewosst iwwersetzte Beräich fir den Zougang. D'Fehlersich am PPTP-Client kann keen Adressraum reparéieren, deen zweemol existéiert, an d'Symptom wäert weider wéi en zoufällegen Ofbroch ausgesinn.

Fänkt mat der Etapp un, déi versot huet: GRE fir 800, d'Method an den Kontosträng fir 812, Echoastellunge fir en Tunnel, deen no Zäitplang stierft.